针对AMC 20-193课程的多核认证工作辅助工具

《Computer Standards & Interfaces》：Towards a multi-core certification Job-Aid for AMC 20-193

多核处理器（MCPs）在航空器中的应用需遵循AMC 20-193认证标准，本文通过工作坊探讨其10项目标，提出结构化实施框架和配套问题，以辅助构建行业通用的Job Aid工具，促进航空电子硬件与软件的安全认证。

　　在现代电子设备中，多核处理器（Multi-Core Processors, MCPs）已成为不可或缺的一部分。然而，在高安全性的领域，如航空航天，其应用却带来了新的挑战。为了确保MCPs在满足适航要求方面能够被有效使用，欧洲航空安全局（EASA）和美国联邦航空管理局（FAA）联合发布了《可接受符合方式》（Acceptable Means of Compliance, AMC）20-193，这是一份旨在指导如何达到适航标准的文件。尽管监管机构已经撤回了某些标准如DO-178和DO-254的辅助指南（Job Aids），但这些辅助指南仍然是展示符合性的重要手段，并被评估人员广泛采用。

MCPs的应用并非易事，它需要对设备本身的特性、软件架构和执行方式，以及系统级别的安全考量有深入的理解。因此，本文旨在通过对AMC 20-193所列的10个目标进行分析，提供更深层次的解读，帮助专业人员构建自己的辅助指南。文章希望通过其讨论，使申请人、评估人员和监管机构能够达成一致的理解，从而更好地执行AMC 20-193的要求。

为了确保航空领域的安全性，高安全性领域（如航空航天）对基础的机载电子硬件（Airborne Electronic Hardware, AEH）及其相关软件进行了严格审查。在民用航空中，软件和AEH的使用需要符合诸如DO-178C和DO-254等标准，以确保安全要求得到满足。随着AEH和软件在航空航天领域（尤其是国防领域）的使用日益增多，该领域不再是电子组件的主要消费者。相反，其他行业如汽车、移动设备和数据中心成为了市场的主要推动者，特别是在处理器方面。

由于航空航天领域不再是半导体行业的主要驱动者，因此其对可用设备的选择和影响力相对有限。例如，尽管MCPs已经流通了几十年（IBM于2001年首次引入MCPs），但在航空航天领域的应用却显著延迟。事实上，直到最近，MCPs才开始被引入到航空平台上。这一延迟的关键原因之一是，由于多核处理器中的多个核心共享资源，可能会引入更多的非确定性，从而增加计算时间的不确定性。这种不确定性对于硬实时任务来说是不可接受的，因为它们对安全性至关重要。因此，为了控制和量化这种不确定性，需要采取相应的措施。

为此，学术界和工业界开展了多项研究活动，包括牛津大学、卡内基梅隆大学软件工程研究所（SEI）和帝国理工学院等机构，致力于理解如何量化和缓解MCPs带来的额外复杂性，主要针对航空电子和高安全性领域。工业机构也进行了大量研究，开发了支持MCPs在航空领域应用的方法和工具，例如空客、nHansa、Thales和Rapita Systems等公司。此外，民用航空监管机构还提供了相关资金支持，如法国民用航空局（DGAC）的PHYLOG项目。2022年1月，EASA发布了AMC 20-193，为航空领域最安全的案例（包括最高设计保证等级A）提供了一套支持性目标。

AMC 20-193是对CAST-32 A的改进版本，该版本已被学术界、工业界和监管机构广泛审查。AMC 20-193的目标需要通过生成详细说明认证策略和其执行证据的文件来实现。然而，AMC 20-193仅详细说明了“什么”需要做，而没有说明“如何”去做，这是AMC作者的初衷。

本文旨在探讨AMC 20-193的目标，以提供额外的指导，帮助实现这些目标。文章的目的是提出一种指导，可用于构建支持遵守AMC 20-193的MCP辅助指南。此外，这种指导还能帮助生产辅助指南，这些指南可以作为框架，用于管理技术评估过程中的输入、转换标准、规划、执行、输出和完成。

在构建MCP辅助指南的过程中，作者识别了两个关键问题，这些问题对于应对AMC 20-193的认证至关重要。首先，问题是关于如何在开发生命周期中添加结构，以增加对目标何时需要被处理的清晰度。其次，问题是关于如何识别合适的提问，以在监管机构和申请人之间建立一致的解释，从而引导讨论并指导目标的实现。为了解决这两个问题，作者采用了技术研讨会的方法，这是一种在工业界和学术界广泛使用的关键定性研究方法。

为了提高研究的严谨性，作者在处理这两个问题时采用了结合了主要数据和次要数据的框架。主要数据基于作者作为专业人员（Subject Matter Experts, SMEs）在多个军事项目中进行的保证评估和审计的经验和知识。由于作者还曾为工业和政府组织提供过关于使用DO-254和DO-178等标准进行认证的建议，这些经验被用来解释AMC的目标。次要数据则使用了可访问的出版物，以支持在研讨会期间进行的头脑风暴讨论。需要注意的是，尽管关于MCPs的研究有很多出版物，但本文并未提供详尽的文献综述，因为作者认为这不是本文的目标。研讨会使用了相关的出版物，使作者能够更好地理解这两个问题，并形成相应的指导。

研讨会的结构是围绕每个AMC目标展开的，考虑了评估人员和供应商对目标的含义、解释和意图。接下来，确定需要提出哪些额外的问题和活动，以满足AMC目标。这一阶段结合了主要和次要数据源，但主要依赖于前者，即作者在实际进行参与度阶段（Stage of Involvement, SOI）审查以认证AEH和软件方面的专业知识。最后，通过研讨会的讨论，使参与者达成一致，确定应提供的指导类型。

这些研讨会的输出构成了本文，提供了多个专业人员共同认可的AMC目标解释，明确了每个目标在开发生命周期中的处理时间和方式，以及一组支持性问题，以引导生成符合AMC整体意图的回应，并满足每个AMC目标。作者认为，本文呈现的工作，基于研讨会和专业人员的经验，为应用AMC 20-193的持续实践努力提供了有意义和相关的贡献。

本文的结构分为几个部分。第二部分讨论了辅助指南的概念及其在民用监管中的使用。第三部分介绍了用于飞机软件和AEH认证的标准，以及AMC 20-193在民用认证方法中的位置。第四部分评估了AMC 20-193中提出的10个目标，并识别了需要采取的额外活动，以支持目标的实现。第五部分提供了对本文所进行工作的评估，以及更广泛的安全认证和使用MCPs的考虑。第六部分则提供了结论、建议和下一步工作的详细信息。

在民用航空领域，DO-254和DO-178C的认证评估通常包括四个参与度阶段（Stage of Involvement, SOI）。这些阶段分别是：

- SOI #1 计划审查：这是在初始计划过程中进行的审查，以确保计划的完整性和可行性。
- SOI #2 设计审查：这是在设计阶段进行的审查，以确保设计符合安全要求。
- SOI #3 实现审查：这是在实现阶段进行的审查，以确保实现符合设计要求。
- SOI #4 验证审查：这是在验证阶段进行的审查，以确保验证过程有效。

本文并不批评或积极推广AMC 20-193，而是承认AMC 20-193是展示MCPs保证的一种广泛方法。事实上，对于民用领域，AMC 20-193已成为一种事实上的符合方式，尽管在国防领域也存在其他指导，如适航建议（Airworthiness Advisory, AA）22-01，以及美国陆军软件适航性认证的指导。

在这一部分，我们将评估AMC 20-193中提出的每个目标的意图，并确定在参与度阶段中应如何看到支持目标实现的文件。需要注意的是，对于某些目标，活动可能需要在参与度阶段中迭代进行。以下部分将讨论每个目标，并附带一组问题，以支持生成量身定制的辅助指南。这些问题基于作者的理解和解释，并结合了深入的小组讨论，旨在为评估人员提供参考。

在开发本文中包含的辅助指南问题时，作者承认这些问题与对AMC目标的解释密切相关，并且与在深入小组讨论中形成的思维方式有关。虽然无法完全传达这种思维方式，但作者已经尝试在前一部分的讨论中表达。最终，任何实施指导或标准的工作都将涉及一定程度的主观判断，而本文的讨论和问题旨在激发评估过程中的讨论和对话，帮助提供更有效的评估方法。

本文为读者提供了关于如何构建辅助指南的指导，但并不提供一个完整的辅助指南，也不提供一组完整的辅助指南问题。它提供了一些支持性的指导，以帮助识别在评估和应对AMC目标时应考虑的关键领域和重点。通过这些讨论和问题，作者希望为相关人员提供有价值的参考，促进对AMC 20-193的深入理解和有效应用。

本文的讨论和问题旨在激发评估过程中的讨论和对话，以帮助评估人员更好地理解和应用AMC 20-193的要求。通过这种方式，作者希望为相关行业提供有益的参考，促进对MCPs在高安全性领域应用的深入探讨和实践。本文的作者认为，通过这些讨论和问题，可以为相关人员提供有价值的参考，促进对MCPs在高安全性领域应用的深入理解和有效实践。